← Zurück zum Blog

Sicherheitsbriefing, 3. Juni 2026: Microsoft-Defender-KEV-Frist, Android-Zero-Day-Patches, GitHub-Enterprise-RCE-Lücke und das Grindr-Leck

Der gemeinsame Nenner heute ist die Lücke zwischen „ein Fix existiert" und „der Fix ist tatsächlich eingespielt". Zwei ausgenutzte Defender-Schwachstellen erreichen eine behördliche Patch-Frist, Android schließt einen in freier Wildbahn ausgenutzten Bug, eine GitHub-Backend-RCE bleibt auf den meisten selbst gehosteten Instanzen ungepatcht, und ein Identitätsleck erinnert daran, dass offengelegte Daten jeden einzelnen Patch-Zyklus überdauern.

---

---

1. Zwei ausgenutzte Microsoft-Defender-Schwachstellen erreichen heute eine CISA-KEV-Frist

CISA hat CVE-2026-41091 und CVE-2026-45498 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, mit einer Behebungsfrist bis zum 3. Juni 2026 für zivile Bundesbehörden. CVE-2026-41091 (CVSS 7,8) kann einem Angreifer SYSTEM-Rechte verschaffen, während CVE-2026-45498 (CVSS 4,0) ein Denial-of-Service-Bug ist, der Defender betrifft. Eine KEV-Listung ist das deutlichste Signal dafür, dass die Ausnutzung real und nicht theoretisch ist.

• Stellen Sie noch heute sicher, dass Defender-Plattform- und Engine-Versionen auf allen Endpunkten aktuell sind – nicht erst am Stichtag.
• Behandeln Sie KEV-Fristen auch im Privatsektor als Untergrenze für das Patchen, nicht als rein behördliche Pflicht.
• Achten Sie auf Privilege Escalation auf SYSTEM-Ebene auf jedem Host, auf dem Defender hinter einer Version zurücklag.

---

2. Androids Juni-Update schließt einen aktiv ausgenutzten Privilege-Escalation-Bug

Googles Android-Update vom Juni 2026 behebt 124 Schwachstellen, darunter eine schwerwiegende Framework-Lücke, CVE-2025-48595 (CVSS 8,4), die aktiv ausgenutzt wird und eine Rechteausweitung ohne Benutzerinteraktion ermöglicht. Eine Eskalation ohne Interaktion ist die gefährlichste Art, weil sie den Rat „Klicken Sie nicht auf den Link" als Schutzmaßnahme aushebelt.

• Rollen Sie den Juni-Sicherheitspatch-Stand vorrangig auf verwaltete Android-Flotten aus, nicht als Routine-Zyklus.
• Priorisieren Sie Geräte, die Unternehmensidentitäten, MDM-Tokens oder Authenticator-Apps enthalten.
• Verschärfen Sie für Geräte, die nicht zeitnah aktualisiert werden können, Conditional Access und prüfen Sie die Geräte-Compliance-Gates erneut.

---

3. Eine GitHub-Backend-RCE ist upstream gepatcht, auf den meisten selbst gehosteten Servern aber noch offen

Die von Wiz offengelegte CVE-2026-3854 war eine kritische Remote-Code-Execution-Schwachstelle in GitHubs interner Git-Infrastruktur: Ein authentifizierter Nutzer konnte mit einem einzigen git push beliebige Befehle auf Backend-Knoten ausführen, und diese Knoten hatten Zugriff auf Millionen öffentlicher und privater Repositories. GitHub.com wurde noch am Tag der Meldung behoben und fand keinen Missbrauch in freier Wildbahn, doch zum Zeitpunkt der öffentlichen Offenlegung waren rund 88 % der GitHub-Enterprise-Server-Instanzen noch ungepatcht.

• Wenn Sie GitHub Enterprise Server betreiben, prüfen Sie, ob Sie auf dem gepatchten Release sind (Fix ausgeliefert am 10. März) – gehen Sie davon aus, dass Sie zur ungepatchten Mehrheit gehören, bis das Gegenteil bewiesen ist.
• Behandeln Sie selbst gehostete Entwicklerinfrastruktur als Kronjuwel und mandantenübergreifende Angriffsfläche, denn genau so verhielt sich der Bug.
• Überprüfen Sie, wer authentifizierten Push-Zugriff hat und ob Backend-Knoten voneinander netzwerkisoliert sind.

---

4. Das angebliche Grindr-Leck ist ein Identitäts- und Kontoübernahme-Problem

Ein am 3. Juni 2026 gemeldetes Datenleck legt angeblich Passwörter und Standortdaten von Grindr-Nutzern offen. Selbst unbestätigt sind offengelegte Anmeldedaten und präzise Standorthistorien hochgradig kritisch: Passwörter werden über Dienste hinweg wiederverwendet, und Standortdaten bergen reale Sicherheits- und Erpressungsrisiken für eine sensible Nutzerbasis.

• Wenn Sie oder Ihre Nutzer diesen Dienst verwenden, ändern Sie das Passwort überall dort, wo es wiederverwendet wurde, und aktivieren Sie MFA.
• Achten Sie auf Credential-Stuffing gegen Ihre eigenen Logins mit geleakten E-Mail-/Passwort-Paaren.
• Denken Sie daran, dass geleakte Standort- und Identitätsdaten nicht „gepatcht" werden können – gehen Sie von Dauerhaftigkeit aus und planen Sie Ihre Reaktion entsprechend.

---

Was Sicherheitsteams noch vor der Mittagspause tun sollten

1. Prüfen Sie die Defender-Versionen und halten Sie die CISA-KEV-Frist für CVE-2026-41091 und CVE-2026-45498 ein.
2. Spielen Sie das Juni-Android-Update auf verwaltete Geräte aus, um den ausgenutzten Framework-Bug zu schließen.
3. Patchen Sie GitHub Enterprise Server gegen CVE-2026-3854 und isolieren Sie die Backend-Git-Knoten.
4. Erzwingen Sie Passwort-Rotation und MFA überall dort, wo sich das Grindr-Leck mit Ihren Nutzern oder wiederverwendeten Passwörtern überschneidet.

---

---

Fazit: Das heutige Risiko ist kein Mangel an Fixes – es ist Patch-Latenz und irreversible Offenlegung. KEV-Fristen, Mobil-Updates und selbst gehostete Backends schützen Sie erst, sobald sie angewendet werden, und geleakte Identitätsdaten lassen sich nie wieder zurückholen.